Das Mimecast Threat Research-Team hat eine aktive Kampagne zum Diebstahl von Zugangsdaten aufgedeckt, bei der kompromittierte E-Mail-Konten genutzt werden, um Phishing-Nachrichten mit Personalthematik zu versenden, die vorgeben, von DocuSign und unternehmensspezifischen Personalabteilungen zu stammen. Diese Kampagne zeugt von operativer Reife, da sie geografisch verteilte kompromittierte Konten, Filter für mobile Geräte sowie Techniken zur Umgehung von CAPTCHA-Systemen einsetzt, um einer Entdeckung zu entgehen.
Rechtzeitige Abwicklung der Geschäftsprozesse zum Jahresende
Diese Kampagne gibt insbesondere aufgrund ihres strategisch gewählten Zeitpunkts und der Ausnutzung legitimer Geschäftsabläufe Anlass zur Sorge. Wenn Unternehmen in das letzte Quartal des Jahres eintreten, leiten Personalabteilungen branchenübergreifend in der Regel die Vergabe von Bonuszahlungen, die Leistungsbeurteilungen zum Jahresende sowie die Verfahren zur Anmeldung für Sozialleistungen ein. Mitarbeiter erwarten, dass sie seriöse Mitteilungen zum Thema Vergütung erhalten, wodurch sie anfälliger für Phishing-Angriffe mit Personalthematik sind. Die Angreifer haben sich diese Erwartung zunutze gemacht, indem sie überzeugende Nachrichten verfasst haben, die den üblichen Aktivitäten von Unternehmen zum Jahresende entsprechen. Die Dringlichkeit, die in Betreffzeilen wie „ ": Lassen Sie uns das Jahr gebührend abschließen – füllen Sie Ihr Bonusformular aus!“ und „" “ zum Ausdruck kommt, nutzt sowohl den zeitkritischen Charakter der Jahresabschlussprozesse als auch das finanzielle Interesse der Mitarbeiter an Informationen zum Bonus aus. Diese psychologische Manipulation erhöht die Wahrscheinlichkeit, dass Nutzer mit schädlichen Inhalten interagieren, erheblich.
Angriffskette
Die Kampagne läuft in mehreren Schritten ab:
Einige der identifizierten Beispiele sind im Folgenden aufgeführt
Sobald ein Nutzer den QR-Code mit seinem Mobilgerät scannt, wird er zu einem Schritt zur manuellen Überprüfung weitergeleitet, um die Legitimität sicherzustellen.
Die Benutzer werden anschließend aufgefordert, ihre Anmeldedaten einzugeben
Technische Infrastruktur
Die Analyse einer Variante der Backend-Infrastruktur der Kampagne offenbart einen Mechanismus zum Sammeln von Anmeldedaten. Die Phishing-Seiten nutzen JavaScript-basierte Datenerfassung mit den folgenden Merkmalen:
Das Mimecast Threat Research-Team hat Erkennungsregeln entwickelt und implementiert, um diese Kampagne zu identifizieren und zu blockieren. Wir beobachten diese Bedrohungsaktion weiterhin im Hinblick auf taktische Entwicklungen und Änderungen an der Infrastruktur.
Globale Organisationen
Schulung zur Sensibilisierung der Nutzer:
Threat Hunting:
Erfahren Sie, wie die einheitliche Plattform von Mimecast Ihre Mitarbeiter, Ihre KI und Ihre Daten schützen kann.
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Threat Intelligence1. Sept. 2026
Threat Intelligence27. Aug. 2026
